Las principales formas de garantizar la seguridad de los datos en las nubes
Según el informe de la empresa de investigación estadounidense Gartner, para 2020 debido a configuraciones incorrectas y procesos comerciales no optimizados, los casos de fuga de información de las nubes públicas aumentarán al 80%. Por lo tanto, las empresas que utilizan servicios en la nube deben pensar en mejorar la seguridad ahora.
En este artículo, analizaremos más de cerca las cinco formas más populares de proteger los datos en la nube: cifrado, supervisión de la infraestructura, restricciones de acceso a los datos, copias de seguridad y planes de recuperación ante desastres.
Pero antes de eso, estadísticas interesantes:
- El 64 % de las empresas considera que los sistemas en la nube son más seguros que los sistemas locales;
- el 75% toma medidas adicionales para garantizar la seguridad;
- el 61% encripta sus datos;
- el 52% ha introducido una política de control de acceso a los sistemas de información;
- El 48% realiza verificaciones periódicas de los sistemas de información para verificar el cumplimiento de los requisitos de seguridad.
Cifrado
Para garantizar la seguridad, debe implementar una política de cifrado específica. Pero cifrar todos los datos no tiene sentido; en este caso, las desventajas asociadas con los procesos de cifrado superarán todas las posibles ventajas. Por lo tanto, debe averiguar qué datos hay en la nube y hacia dónde se dirige el tráfico, y luego decidir cuáles de estos deben cifrarse. Para el uso efectivo del cifrado, es necesario comparar el costo de introducir tales medidas y las posibles pérdidas por fuga de información. Además, debe analizar cómo afectará el cifrado al rendimiento de los sistemas de información.
La protección de datos se puede realizar a diferentes niveles. Por ejemplo, todos los datos que los usuarios envían a la nube se pueden cifrar mediante algoritmos de cifrado de bloques. El siguiente nivel es el cifrado de datos en un sistema en la nube, que tiene tres formas:
El primero es cifrar datos de forma independiente en la computadora y luego enviarlos a la nube. Para que puedas hacer copias de seguridad de cualquier proyecto. Paralelamente, vale la pena descargar archivos cifrados o contenedores criptográficos en un disco duro externo, ya que hay ejemplos en los que los datos del almacenamiento en la nube no confiable se eliminan de forma permanente sin el consentimiento del propietario.
Si hay muchos archivos, puede utilizar servicios que cifran los datos antes de enviarlos a la nube. Algunos de ellos incluso cifran los encabezados de los archivos. Por lo tanto, si los atacantes obtienen acceso a la nube, no solo el contenido del archivo, sino también su nombre, no estarán disponibles para ellos.
Uno de esos servicios es BoxCryptor. La principal ventaja de Boxcryptor es su compatibilidad con servicios populares de almacenamiento en la nube como Dropbox, Google Drive, OneDrive, Box, Amazon, iCloud Drive. El servicio también es compatible con todas las plataformas populares, incluidas iOS y Android sistemas operativos móviles. El producto tiene una versión gratuita, pero tiene algunas limitaciones. Por ejemplo, puede trabajar con una sola nube. La versión de pago permite cifrar los nombres de los archivos y funciona con un número ilimitado de proveedores de nube.
Monitoreo de infraestructura
Los atacantes casi siempre pueden encontrar una manera de piratear un sistema. Por lo tanto, para prevenir amenazas, es necesario asegurarse de que los ataques no se propaguen a otros sistemas vulnerables. Esto es posible si bloquea conexiones no autorizadas entre flujos de trabajo y evita solicitudes de conexión peligrosas.
Hay muchos productos en el mercado para monitorear la infraestructura que permiten obtener una imagen completa de la actividad de la red: ver a todos los que se conectan a la red y establecer reglas para los usuarios (qué usuarios específicos pueden hacer y qué derechos de acceso deben tener).
Los sistemas de monitoreo también permiten obtener estadísticas para cada usuario y eventos y amenazas relacionados. Servicios como Zscaler permiten enviar registros al sistema SIEM de un cliente para recibir informes que incluyen datos de varias fuentes. Zscaler proporciona a los usuarios una colección de registros personalizados y predefinidos. Incluye los siguientes tipos de informes:
- Informes ejecutivos (un breve informe de seguridad para gerentes, que incluye la cantidad de amenazas detectadas o violaciones de las reglas durante un tiempo determinado);
- Informes interactivos;
- Informes programados (distribución regular de informes estándar y personalizados);
- Informe de puntaje de riesgo de la empresa (cálculo de una evaluación de riesgo para una empresa incluida en el paquete Business and Transformation, y disponible por una tarifa para el paquete Professional);
- Comparación entre pares de la industria (compare el rendimiento del uso de Zscaler en su organización y en otras organizaciones de su industria);
- Informe de auditoría del sistema (informe del sistema sobre el estado de los túneles GRE, archivos PAC, etc. Si hay problemas, el informe dará recomendaciones sobre cómo solucionarlos);
- Informe de auditoría de políticas de seguridad.
Restringir el acceso a los datos
Muchos ya están acostumbrados a que cada usuario inicie sesión en el sistema de información con su nombre de usuario y contraseña. Por lo general, los datos de contraseña se almacenan como un hash en una base de datos en forma cerrada. Para evitar el robo de una sesión de usuarios autorizados, el hash de inicio de sesión y contraseña se verifica en la carga de cada página del sistema. En caso de un error de autenticación, el usuario cerrará sesión automáticamente. Pero además del sistema tradicional de protección mediante inicio de sesión y contraseña, los servicios en la nube ofrecen varios métodos más de protección de la información.
Recientemente, se ha generalizado un modelo de seguridad basado en roles (también llamado control de acceso basado en roles). Este modelo se basa en la identificación del usuario mediante un inicio de sesión. Cuando se identifica un usuario, automáticamente se le asignan roles y decisiones.
Un modelo de control de acceso basado en roles cumple con las políticas de seguridad adoptadas por varias organizaciones. Permite organizar funciones como una jerarquía de roles y una separación operativa de funciones.
El control de acceso basado en roles (RBAC) considera que toda la información pertenece a esta organización. En tal sistema, los usuarios no pueden transferir derechos de acceso a la información a otros usuarios. Este sistema se basa en una decisión de acceso basada en información sobre una función que un usuario realiza dentro de una organización determinada en función de su rol.
La definición de membresía y la distribución de autoridad a un rol en un sistema de control de acceso basado en roles no depende del administrador del sistema sino de las políticas de seguridad adoptadas en el sistema. Un rol puede entenderse como el conjunto de acciones que un usuario o grupo de usuarios puede utilizar. El concepto de rol incluye una descripción de responsabilidades, responsabilidades y calificaciones. El administrador del sistema asigna las funciones a los roles. El administrador del sistema también determina el acceso al rol.
La política de roles permite distribuir la autoridad entre los roles bajo sus deberes oficiales, y el rol del administrador se complementa con poderes especiales que le permiten controlar el funcionamiento del sistema y administrar la configuración. Los derechos de los usuarios normales se limitan al mínimo necesario para ejecutar un programa específico.rams.
El número de roles en el sistema puede no corresponder al número de usuarios reales: un usuario, si tiene diferentes responsabilidades que requieren diferentes privilegios, puede cumplir varios roles y varios usuarios pueden usar un rol si realizan el mismo trabajo.
Los sistemas en la nube como Amazon EC2 hacen un uso extensivo de RBAC para ajustar el acceso de los usuarios finales a los recursos. Microsoft Azure también usa RBAC para control de acceso a los recursos de la nube. Por ello, a modo de ejemplo, ponemos algunas acciones que se pueden realizar utilizando RBAC:
- otorgar permiso a un usuario para administrar máquinas virtuales en una suscripción y a otro, para administrar redes virtuales;
- otorgar permiso al grupo DBA para administrar bases de datos SQL en una suscripción;
- conceder al usuario permiso para gestionar todos los recursos del grupo de recursos, incluidas las máquinas virtuales, los sitios web y las subredes.
Copia de seguridad de datos
Las aplicaciones que se ejecutan en la nube solo están protegidas hasta cierto punto. Las historias aparecen periódicamente cuando uno u otro proveedor de nube poco confiable borra máquinas virtuales o archivos almacenados. Para proteger por completo los datos generados por las aplicaciones en la nube, deberá realizar una copia de seguridad en el centro de datos del cliente (DPC) o en otra nube.
En escenarios a pequeña escala, los usuarios pueden copiar archivos, por ejemplo, desde Office 365 a un volumen local o una unidad externa. Pero este es un proceso manual que puede ser poco confiable y difícil de escalar.
Para archivos grandes y aplicaciones más grandes, estos escenarios son muy raros. Las empresas que usan la nube basada en IaaS pueden usar las interfaces del sistema de aplicaciones (APIs) proporcionados por proveedores de la nube para desarrollar su software de copia de seguridad, o software de copia de seguridad de terceros para servidores locales, almacenamiento conectado a la red (NAS) o centro de datos propio.
Las copias de seguridad de nube a nube prometen a la empresa varias ventajas sobre las copias de seguridad locales, incluidos costos de infraestructura más bajos, copia de seguridad y recuperación más rápidas y mayor flexibilidad.
Como parte del servicio de respaldo en la nube, los usuarios pueden respaldar datos importantes (archivos, bases de datos, configuraciones del sistema operativo) en la nube. Para ello, instalan agentes especiales para realizar copias de seguridad de los datos de las aplicaciones requeridas. La presencia de agentes permite garantizar la integridad de los datos en la copia de seguridad, y la transferencia de los datos reservados en sí se realiza a través de Internet a través de VPN .
Plan de recuperación en un desastre
El plan de recuperación ante desastres ayuda a proteger su negocio de las interrupciones en la infraestructura de TI y la posible pérdida de datos.
Un plan de restauración tradicional implica crear un sitio de respaldo, preferiblemente en otra área o incluso en una ciudad. Para su organización, se requiere comprar el mismo conjunto de equipos que en el sitio principal, proporcionar la infraestructura del sitio y comprar un software de respaldo. En este caso, el costo de crear y mantener un sitio de respaldo puede ser el mismo que el costo del sitio principal. Esto significa que hasta el 50 % de todo el presupuesto de TI puede destinarse a garantizar la continuidad del negocio. Si bien el servicio de copia de seguridad en la nube brinda la capacidad de aumentar o disminuir rápidamente el volumen de consumo y no requiere c inicialapigastos totales.
